Autentikointi

Autentikointi on prosessi, jolla esitetty identiteetti todetaan oikeaksi. Se on olennainen osa pääsynhallintaa ja varmistaa, että käyttäjä, laite tai sovellus vastaa siihen väitettyä identiteettiä ennen pääsyn myöntämistä resursseihin. Autentikointi eroaa valtuuttamisesta, jolla määritellään, mitä oikeuksia todellinen identiteetti saa käyttää.

Todentamisen tekijät jakautuvat yleisesti kolmeen pääkategoriaan: jotain mitä henkilö tietää (esimerkiksi salasana tai PIN-koodi), jotain mitä henkilö omistaa (kerta- tai jatkuvat varmenteet, älypuhelin, turvatunnuslaite) sekä jotain mitä henkilö on (biometristen tunnisteiden kuten sormenjäljen tai kasvojentunnistuksen käyttäminen). Lisäksi voidaan huomioida jotain mitä henkilö tekee (käyttäytymiseen perustuvat piirteet). Monitahoinen autentikointi (MFA) yhdistää useamman kuin yhden tekijän, mikä parantaa turvallisuutta. Yleisintä on yhdistelmä salasana ja jokin toinen tekijä; viime aikoina on yleistynyt myös passkeys/ WebAuthn -perusteinen pääsy ilman perinteistä salasanaa.

Teknologiat ja standardit määrittelevät, miten autentikointi toteutetaan. Esimerkkejä ovat OpenID Connect ja SAML käyttäjien kirjautumisissa, sekä WebAuthn/FIDO2, joka tukee passkeys-turvallista, salasanaetäisyydessä tapahtuvaa todennusta. Palvelin- ja koneiden välisessä todennuksessa käytetään usein PKI-pohjaisia ratkaisuja ja TLS:ää, joskus myös mutual TLS -todennusta. JWT- tai muu token-pohjainen sessiohallinta on yleistä sivustojen ja sovellusten sisäisessä tunnistuksessa.

Tietoturvaan liittyy jatkuva haaste: phishing, credential stuffing ja vahingossa paljastuvat tiedot. Hyvät käytännöt sisältävät salasanojen hallinnan, turvallisen tallennuksen, MFA:n käyttöönoton sekä lämpimän, TLS-suojatun yhteyden ylläpidon. Autentikointi on siten keskeinen osa luottamuksen rakentamista digitaalisessa ympäristössä.